Взломали не сервер, а сотрудника: кейс с «капчей»
Один клик по «проверке, что вы не робот» — и компьютер бухгалтера отдал пароли. Разбираю, как это работает и что с этим делать.
Недавно по украинским сайтам прокатилась волна заражений: посетителям показывали фальшивую проверку Cloudflare. Выглядит как обычная капча, но просит нажать пару клавиш и вставить скопированную команду в окно Windows. Человек сам запускает заражение — антивирус и фаервол тут бессильны, ведь действие совершил пользователь.
Ко мне с похожим случаем приходил владелец небольшой торговой фирмы: у менеджера на ноутбуке завелась программа-шпион, и в почту компании кто-то заходил по ночам. Сам «взлом» занял у злоумышленника секунды. Дальше он читал переписку и подбирался к платёжным данным.
Чем это грозит бизнесу
Шпион крадёт сохранённые в браузере пароли и сессии. Доступ к почте — это сброс паролей от банка, CRM и 1С. Простой в несколько дней, подмена реквизитов в счетах клиентам, потерянное доверие партнёров. Любой из этих сценариев в разы дороже, чем профилактика.
Что я сделал: было → стало
1. Объяснил команде одно правило: настоящая капча никогда не просит ничего вставлять в окно Windows. Было: «нажми, как просят». Стало: любое такое требование — сигнал тревоги.
2. Включил двухфакторную защиту на почте и в банке. Было: украденный пароль открывал всё. Стало: без второго шага вход невозможен.
3. Запретил хранить пароли в браузере, внедрил менеджер паролей. Было: шпиону достаточно одного файла. Стало: красть нечего.
4. Настроил уведомление руководителю в мессенджер о входе с нового устройства. Было: узнавали постфактум. Стало: видят попытку в тот же момент.
Всё это заняло пару дней и стоило несопоставимо меньше, чем один сорванный платёж или неделя простоя. Главный вывод: защищать нужно не только серверы, но и привычки людей — именно на них сегодня бьют.
